Alibaba Cloud doit garantir une infrastructure gérée et exploitée de manière sécurisée, incluant (sans s'y limiter) les centres de données déployés dans les différentes régions et zones, les réseaux dorsaux Alibaba, les équipements physiques (serveurs, systèmes de stockage et équipements réseau), ainsi qu'Apsara, le système d'exploitation cloud distribué sous-jacent d'Alibaba Cloud, et l'ensemble des services et produits cloud exécutés sur Apsara OS. Parallèlement, Alibaba Cloud est également responsable de la gestion des identités et du contrôle d'accès, ainsi que des systèmes de surveillance et d'exploitation côté plateforme, afin de fournir aux clients une plateforme de services cloud hautement disponible et sécurisée. Prenons l'exemple du service de calcul d'Alibaba Cloud, Elastic Compute Service (ECS). Les capacités de sécurité physique, matérielle et de virtualisation sous-jacentes d'ECS sont fournies directement par Alibaba Cloud. Pour en savoir plus sur la sécurité de la plateforme cloud et des produits d'Alibaba Cloud, consultez le livre blanc sur la sécurité d'Alibaba Cloud.

Les clients doivent gérer la configuration de sécurité des produits utilisés dans le cloud et sont responsables de garantir la sécurité de base et la sécurité des données de leurs activités dans le cloud, conformément à leurs exigences en matière de sécurité des données. Ils sont chargés de configurer et d'utiliser les différents produits cloud de manière sécurisée, et de bâtir des applications et des activités cloud de façon sûre et maîtrisée en s'appuyant sur les capacités de sécurité de ces produits. Ils sont également tenus d'exploiter pleinement les fonctionnalités de sécurité des produits et services de sécurité d'Alibaba Cloud, ainsi que des produits de sécurité tiers de l'écosystème, pour protéger leurs systèmes métiers. Par exemple, les clients peuvent utiliser les capacités ou services de chiffrement d'Alibaba Cloud pour chiffrer les données sensibles, recourir à Key Management Service (KMS) pour gérer les clés de chiffrement, activer l'authentification multifacteur pour protéger les identifiants des comptes Alibaba Cloud, ou utiliser ActionTrail pour enregistrer les opérations de la console de gestion et les journaux d'appels OpenAPI.

Remarque : si un client utilise des services de base sur Alibaba Cloud, tels qu'Elastic Computing Service (ECS), l'instance de service concernée est entièrement sous le contrôle du client. Celui-ci doit gérer l'instance, effectuer le renforcement de la sécurité, installer les correctifs de sécurité et configurer les groupes de sécurité pour le contrôle d'accès réseau. En revanche, si le client utilise des services plus avancés, tels qu'un service de plateforme ou cloud natif, sa responsabilité en matière de sécurité se déplace en conséquence. Le client n'a plus besoin de se concentrer sur la maintenance de l'instance, l'installation des correctifs de sécurité ou le renforcement de la configuration. Il lui suffit de gérer les comptes et les autorisations pour ces services et d'utiliser les fonctions de sécurité qu'ils fournissent. Par exemple, le service MaxCompute offre aux clients des capacités de contrôle d'accès selon différentes dimensions. Les clients doivent uniquement configurer les fonctions de sécurité en fonction de leurs besoins métiers.

Le contenu membre (données client) désigne le contenu que les clients soumettent ou chargent sur leur compte de services Alibaba Cloud, ainsi que le contenu exécuté sur les services Alibaba Cloud.

Les clients conservent la maîtrise, la maintenance et la propriété de leur contenu membre. Ils déterminent également l'emplacement de leur contenu et en maîtrisent le format, la structure et la sécurité, y compris son masquage, son anonymisation ou son chiffrement. Ils décident en outre de sélectionner ou non des services Alibaba Cloud capables de traiter, stocker et héberger leur contenu membre. Ils gèrent également les autres contrôles d'accès, tels que la gestion des identités, la gestion des autorisations et la gestion des informations d'identification de sécurité. Les clients maîtrisent l'ensemble du cycle de vie de leur contenu sur Alibaba Cloud et le gèrent selon leurs besoins spécifiques, notamment la classification du contenu, le contrôle d'accès, la conservation et la suppression.

Alibaba Cloud n'accède pas au contenu membre et ne l'utilise pas sans le consentement du client. Alibaba Cloud n'utilise jamais le contenu membre du client et n'en extrait aucune information à des fins de marketing, de publicité ou à toute autre fin non autorisée.

En tant que client, vous gardez la maîtrise de votre contenu membre. Vous gérez le cycle de vie de votre contenu membre sur Alibaba Cloud, y compris la création, l'utilisation, la durée de conservation et la destruction des données. Vous déterminez le lieu de stockage de votre contenu membre, notamment le type de stockage et la région géographique. Vous choisissez l'état de sécurisation de votre contenu membre. Nous offrons à nos clients un chiffrement robuste pour le contenu membre en transit et au repos, et nous vous donnons la possibilité de gérer vos propres clés de chiffrement. Vous gérez l'accès à votre contenu membre, ainsi que l'accès aux services et ressources Alibaba Cloud, par le biais des utilisateurs, des groupes, des autorisations et des informations d'identification que vous maîtrisez.

Le contenu membre (données client) désigne le contenu que les clients soumettent ou chargent sur les services Alibaba Cloud via leur compte, plus précisément le contenu exécuté sur les services Alibaba Cloud. Alibaba Cloud n'accède pas au contenu membre et ne l'utilise pas sans le consentement du client. Par exemple, lorsque les clients utilisent un Elastic Computing Service (ECS) ou un Alibaba Cloud Relational Database Service (RDS) fourni par Alibaba Cloud, les instances de service associées sont entièrement sous le contrôle du client, et les données du client sont entièrement gérées par celui-ci. Alibaba Cloud n'accède à aucune donnée du client.

Alibaba Cloud ne peut accéder aux données client qu'après avoir obtenu l'autorisation du client. Alibaba Cloud ne peut accéder à ces données et les utiliser que dans la mesure autorisée par le client. Tous les accès et utilisations sont journalisés et audités. Par exemple, lorsqu'un client utilise le produit Intelligent Speech Interaction (ISI), Alibaba Cloud ne peut accéder aux données audio qu'après autorisation du client. Ces données sont alors utilisées exclusivement pour fournir des services tels que la reconnaissance vocale, la synthèse vocale et la compréhension du langage naturel.

Le contenu membre (données client) désigne le contenu que les clients soumettent ou chargent sur les services Alibaba Cloud via leur compte, plus précisément le contenu exécuté sur les services Alibaba Cloud.

Premièrement, Alibaba Cloud n'accède pas aux données des clients et ne les utilise pas, sauf autorisation expresse du client. Les clients gèrent l'accès à leur contenu de membre ainsi qu'aux services et ressources d'Alibaba Cloud.

Deuxièmement, Alibaba Cloud fournit un ensemble avancé de fonctionnalités d'accès, de chiffrement et de journalisation pour vous aider à prévenir efficacement les accès non autorisés. Par exemple, les utilisateurs peuvent utiliser leur compte cloud, c'est-à-dire leur compte principal, ou un mot de passe d'utilisateur Resource Access Management (RAM) sous le compte cloud pour se connecter à la console de service cloud et effectuer des opérations sur leurs ressources cloud. Ils peuvent également appeler les identifiants d'API du service cloud à l'aide d'une clé d'accès Alibaba Cloud (AK) pour accéder aux ressources sur Alibaba Cloud via une API. Un client peut également gérer les identifiants d'accès à court terme aux ressources via le service de jetons de sécurité (STS) ou utiliser l'authentification multifacteur (MFA) pour ajouter une protection supplémentaire au nom d'utilisateur et au mot de passe. Pour les services sur le cloud, une fois l'authentification d'identité effectuée, les clients peuvent utiliser le service de contrôle d'accès aux ressources Resource Access Management (RAM) d'Alibaba Cloud pour la gestion de l'identité des utilisateurs et le contrôle d'accès aux ressources.

Toutes les données stockées par les clients sur Alibaba Cloud sont protégées par de solides capacités de sécurité et de contrôle en matière d'isolation des locataires. Alibaba Cloud fournit des contrôles d'accès aux données avancés pour garantir une isolation multi-locataire robuste. Par exemple, les utilisateurs peuvent recourir à des conteneurs sandbox de sécurité pour isoler strictement des éléments tels que la mémoire, le réseau ou les entrées/sorties (E/S), et ainsi mieux cloisonner les différents locataires sur un même hôte. Ils peuvent utiliser un Virtual Private Cloud (VPC) pour isoler la couche de liaison de données et bâtir un environnement réseau sécurisé. Ils peuvent également utiliser des groupes de sécurité de type pare-feu de virtualisation au niveau des instances pour segmenter les domaines de sécurité de chaque instance ECS, ou des pare-feu cloud pour analyser le trafic réseau d'accès nord-sud et est-ouest. Les utilisateurs peuvent également bénéficier de la visualisation du trafic sur l'ensemble du réseau, tel que l'accès Internet et le trafic des groupes de sécurité, ainsi que de l'analyse et du blocage des comportements de communication sortante active. Consultez le livre blanc sur la sécurité d'Alibaba Cloud pour en savoir plus sur la sécurité des services de données spécifiques.

Les centres de données d'Alibaba Cloud (régions et zones) sont déployés en clusters dans différentes régions du monde. Les clients peuvent choisir la ou les régions et zones Alibaba Cloud où leur contenu sera hébergé. (Pour la liste complète des régions et zones, consultez https://www.alibabacloud.com/global-locations).

Les clients conservent un contrôle effectif sur leur contenu, quelles que soient les régions ou zones utilisées. Le client doit déterminer s'il convient d'informer les personnes concernées des lieux de stockage ou de traitement de leurs données à caractère personnel et, le cas échéant, d'obtenir leur consentement concernant ces lieux.

Alibaba Cloud ne stocke et ne traite le contenu de chaque client que dans la ou les régions Alibaba Cloud choisies par le client. Alibaba Cloud ne déplace pas le contenu du client sans son consentement. Si un client choisit de stocker son contenu dans plusieurs régions, ou de copier ou de déplacer du contenu entre des régions, ce choix lui incombe entièrement. Le client doit prendre en compte les exigences légales applicables à de telles opérations, où que le contenu soit déplacé et traité.

Si un client doit utiliser les services Alibaba Cloud fournis dans d'autres régions, Alibaba Cloud prend les mesures nécessaires pour garantir que le transfert transfrontalier est conforme à la législation applicable en matière de protection des données. Par exemple, Alibaba Cloud fournit un addendum au RGPD incluant les clauses contractuelles types approuvées par la décision 2010/87/UE de la Commission européenne (ou toute décision ultérieure) ou visées à l'article 46 du RGPD, destiné aux clients Alibaba Cloud transférant du contenu contenant des données à caractère personnel (telles que définies dans le RGPD) depuis l'UE vers un pays situé en dehors de l'Espace économique européen.

Toutes les données stockées par les clients sur Alibaba Cloud disposent de solides capacités de sécurité et de contrôle en matière d'isolation des locataires. Alibaba Cloud fournit des contrôles d'accès aux données avancés. Par exemple, les utilisateurs peuvent recourir à des conteneurs sandbox de sécurité pour isoler strictement des éléments tels que la mémoire, le réseau ou les entrées/sorties (E/S), et ainsi mieux cloisonner les différents locataires sur un même hôte, puis utiliser un Virtual Private Cloud (VPC) pour isoler la couche de liaison de données et bâtir un environnement réseau sécurisé. Ils peuvent utiliser des groupes de sécurité de type pare-feu de virtualisation au niveau des instances pour segmenter les domaines de sécurité de chaque instance ECS, ou des pare-feu cloud pour analyser le trafic réseau d'accès nord-sud et est-ouest. Les utilisateurs peuvent également bénéficier de la visualisation du trafic sur l'ensemble du réseau, tel que l'accès Internet ou le trafic des groupes de sécurité, ainsi que de l'analyse et du blocage des comportements de communication sortante active. Consultez le livre blanc sur la sécurité d'Alibaba Cloud pour en savoir plus sur la sécurité des services de données spécifiques.

Les exigences de séparation physique des offres cloud sont principalement motivées par les craintes d'un accès non autorisé, par des tiers ou d'autres parties, aux applications, au contenu ou aux données. Toutefois, pour les systèmes accessibles via un réseau ou Internet, la séparation physique de ces systèmes n'apporte aucune sécurité ni aucun contrôle d'accès supplémentaire. En résumé, tous les contrôles d'accès des systèmes connectés sont gérés via des contrôles d'accès logiques, la gestion des autorisations, le routage du trafic réseau et le chiffrement. Alibaba Cloud répond aux préoccupations relatives à la séparation physique grâce aux capacités de sécurité logique que nous fournissons à tous nos clients et aux contrôles de sécurité que nous avons mis en place pour protéger les données des clients. Parmi les inconvénients figurent également une structure de coûts plus élevée et une utilisation moindre, résultant d'une utilisation moins efficace de l'espace, ainsi que des options et fonctionnalités de redondance limitées par rapport à la diversité géographique des régions de centres de données commerciaux.

Les clients peuvent recourir à différentes approches de sécurité pour obtenir des résultats équivalents à une séparation physique. Par exemple, ils peuvent utiliser un Virtual Private Cloud (VPC) pour créer l'équivalent de domaines réseau entièrement distincts pour chaque locataire, ou utiliser des solutions de chiffrement pour chiffrer les données au repos et en transit. Pour plus d'informations sur la sécurité de services de données spécifiques, consultez le livre blanc sur la sécurité d'Alibaba Cloud.